Low-Code Paradox in DevOps: Security and Governance Insights from Practitioners

Das große Ganze: Der „Expressweg" versus das „Sicherheitsnetz"

Stellen Sie sich ein Bauunternehmen vor, das Häuser schneller bauen möchte. Es verfügt über zwei Werkzeuge:

1. DevOps: Ein hochorganisierter, professioneller Team von Ingenieuren, die nahtlos zusammenarbeiten, um Häuser schnell zu bauen, zu testen und zu übergeben.
2. Low-Code-Plattformen (LCDPs): Eine Reihe von „baukastenartigen" Bausets. Diese Sets ermöglichen es sogar Personen, die keine professionellen Architekten sind (sogenannte „Citizen Developer"), Wände und Fenster sehr schnell zusammenzuklicken, ohne dass sie Zement mischen oder Ziegelsteine von Hand verlegen müssen.

Das Papier untersucht, was passiert, wenn man versucht, diese Baukästen auf der professionellen Baustelle einzusetzen. Die Autoren nennen dies das „Low-Code-Paradoxon".

Das Paradoxon: Die Baukästen machen das Bauen viel schneller und einfacher (Effizienz), aber sie erzeugen auch neue, versteckte Löcher in den Wänden, durch die Einbrecher (Hacker) schleichen können (Sicherheitsrisiken).

Was die Autoren getan haben (Die Methode)

Die Forscher haben nicht nur geraten; sie sind hinausgegangen und haben mit 12 erfahrenen Bauleitern und Ingenieuren (IT-Fachleuten) aus Finnland, Spanien und China gesprochen. Diese Personen nutzten sowohl die professionellen Methoden als auch die Baukästen seit Jahren.

Sie fragten sie: „Was passiert mit der Sicherheit und den Regeln, wenn Sie diese schnellen Baukästen mit Ihrem schnellen Bauprozess mischen?"

Sie hörten sich die Antworten an und suchten nach gemeinsamen Mustern, ähnlich wie ein Detektiv, der Hinweise zusammensetzt.

Was sie gefunden haben (Die Ergebnisse)

1. Das „Zweischneidige Schwert"

Die Experten waren sich einig, dass Low-Code ein zweischneidiges Schwert ist.

• Das Gute: Es automatisiert langweilige Aufgaben und hilft Teams, Apps schneller zu entwickeln. Es ist wie ein Roboterarm, der Ziegelsteine sofort setzt.
• Das Schlechte: Da diese Kits so viele andere Werkzeuge verbinden (wie externe Stromquellen oder Wasserrohre), entsteht eine größere „Angriffsfläche". Stellen Sie sich vor, Sie fügen Ihrem Haus hundert neue Türen und Fenster hinzu, nur um den Eintritt zu erleichtern; nun gibt es hundert weitere Stellen, an denen ein Dieb einbrechen kann.

2. Das „Schatten"-Problem

Ein Hauptproblem ist Shadow IT. Dies geschieht, wenn Mitarbeiter diese Baukästen nutzen, um eigene Werkzeuge zu bauen, ohne das IT-Sicherheitsteam zu informieren.

• Analogie: Stellen Sie sich einen Arbeiter auf der Baustelle vor, der heimlich eine Seitentür mit einem selbstgebauten Schloss errichtet, ohne dass der Haupt-Sicherheitswächter davon weiß. Der Wächter glaubt, das Haus sei sicher, aber tatsächlich gibt es eine ungesicherte Hintertür. Das Papier stellt fest, dass Angreifer zunehmend nach diesen nicht autorisierten Werkzeugen suchen.

3. Der „SolarWinds"-Weckruf

Die Forscher erwähnten einen berühmten realen Hack (SolarWinds), bei dem Angreifer über ihre Lieferketten in große Unternehmen eindrangen.

• Die Lehre: Selbst wenn der Hersteller des Baukastens sagt: „Wir haben die Sicherheit aktualisiert", reicht das möglicherweise nicht aus. Das Papier schlägt vor, dass allein das Vorhandensein des Werkzeugs nicht ausreicht; Sie müssen das gesamte Haus ständig nach Rissen absuchen, nicht nur die Haustür.

4. Der menschliche Faktor

Die Experten stellten fest, dass diese Tools zwar Teams helfen, zusammenzuarbeiten, die Menschen, die sie nutzen, jedoch oft die Sicherheit vergessen.

• Analogie: Es ist wie einem Kind eine Akkubohrschrauber zu geben, weil er leicht zu halten ist. Sie können schnell einen Stuhl bauen, aber sie merken vielleicht nicht, dass sie gerade ein Loch direkt durch die Gasleitung gebohrt haben. Das Papier besagt, dass „Cyber-Hygiene" (grundlegende Sicherheitsgewohnheiten) der beste Weg ist, um diese Unfälle zu verhindern.

Der vorgeschlagene Lösungsansatz: Ein „Ganzheitlicher Rahmen"

Die Autoren haben nicht nur auf die Probleme hingewiesen; sie haben einen Sicherheitsrahmen (gezeigt in ihrer Abbildung 2) entwickelt, um sie zu beheben. Sie schlagen drei Hauptstrategien vor:

1. Automatisierte Sicherheitsprüfungen (Shift-Left):
   Anstatt zu warten, bis das Haus gebaut ist, um nach Lecks zu suchen, prüfen Sie sie, während Sie die Baukastensteine zusammenklicken. Sie nutzen automatisierte Tools, um nach Sicherheitslöchern zu scannen, bevor die App überhaupt fertig ist.

2. Zero Trust (Die Regel „Niemals vertrauen, immer prüfen"):
   Stellen Sie sich eine Hochsicherheitsbank vor. Selbst wenn Sie einen Schlüssel haben, überprüft der Wächter jedes Mal Ihre Ausweise, wenn Sie durch eine Tür gehen. Das Papier schlägt vor, dies auf Software anzuwenden: Verifizieren Sie jede einzelne Anfrage, auch von innerhalb des Gebäudes, und gewähren Sie Personen nur den minimalen Zugriff, den sie benötigen.

3. Adaptive Governance (Das Regelbuch):
   Da jeder mit diesen Kits bauen kann, benötigt das Unternehmen ein striktes Regelbuch.

   • Sandboxing: Lassen Sie die Leute mit den Baukästen in einer „Sandbox" (einem sicheren, isolierten Bereich) spielen, damit, wenn sie etwas kaputt machen, dies nicht das gesamte Unternehmen zum Absturz bringt.
   • Namensregeln: Stellen Sie sicher, dass alle ihre Dateien und Ordner gleich benennen, damit nichts verloren geht oder verwechselt wird.
   • Lieferantenprüfungen: Bevor Sie einen neuen Baukasten kaufen, prüfen Sie, ob der Hersteller sicher ist und ob er die Regeln Ihres Unternehmens einhält.

Das Fazit

Das Papier kommt zu dem Schluss, dass Low-Code und DevOps eine kraftvolle Mischung sind, aber einen kulturellen Wandel erfordern.

Sie können nicht einfach das Werkzeug kaufen und auf das Beste hoffen. Organisationen müssen:

• Diese neuen Werkzeuge mit derselben Ernsthaftigkeit behandeln wie traditionelles Coding.
• Akzeptieren, dass Sie niemals zu 100 % sicher sein können, aber Sie können widerstandsfähig sein.
• Eine Kultur schaffen, in der sich alle um Sicherheit kümmern, nicht nur das Sicherheitsteam.

Kurz gesagt: Geschwindigkeit ist großartig, aber wenn Sie die Türen nicht absperren, während Sie schnell rennen, werden Sie alles verlieren. Das Papier argumentiert, dass Unternehmen mit den richtigen Regeln und einem Sicherheits-first-Denken die Geschwindigkeit von Low-Code genießen können, ohne von Hackern beraubt zu werden.